Диспетчер отчетов работает именно так. Если они видят папки или отчеты, у них есть доступ, и вы можете дважды проверить настройки авторизации.
Что касается вашего пользовательского приложения, вы, вероятно, захотите убедиться, что вы передаете учетные данные зарегистрированных пользователей на сервер отчетов. Если ваше пользовательское приложение работает в контексте безопасности, который имеет полный доступ на сервере отчетов, то пользователи смогут получать доступ к отчетам, к которым у них не должно быть доступа.